SandboxBootkit

Windows Sandbox에서 ntoskrnl.exe를 패치하고 DSE/PatchGuard를 비활성화하기 위해 테스트된 부트킷입니다. 구현에 대해 더 자세히 다루는 블로그 글이 있습니다.

시작하기

• 최신 릴리스를 다운로드하고 압축을 해제합니다
• Installer.exe를 실행합니다
• Windows Sandbox를 시작합니다

참고: 릴리스의 (일부가) Windows Defender에 의해 바이러스로 탐지될 수 있습니다. 이는 오탐이므로 예외 항목에 추가해야 할 수 있습니다.

문제 해결

Windows Sandbox에서 작동시키는 데 문제가 발생하면 개발 모드를 활성화한 상태로 시도해 보세요 (CmDiag DevelopmentMode -On). Windows 11에서는 이것 없이는 변경 사항이 샌드박스에 적용되지 않는다는 보고가 있습니다.

독립 실행형 부트킷

SandbotBootkit.efi를 실제 하드웨어나 VM에서도 실행할 수 있습니다 (다만 그런 경우에는 EfiGuard를 사용하는 편이 좋습니다). 그러려면 새 (가상) 디스크를 (FAT32로 포맷하여) 연결하고 SandboxBootkit.efi를 \EFI\Boot\bootx64.efi에 복사합니다. 그런 다음 부팅 순서를 변경하여 새 디스크에서 먼저 부팅하도록 합니다. 관련 기능은 LoadBootManager 함수에 구현되어 있습니다.

개발

• 프로젝트를 (서브모듈과 함께) 클론합니다
• SandboxBootkit.sln을 사용하여 프로젝트를 빌드합니다
• 부트킷을 설치하는 방법은 Installer 프로젝트를 참고하세요

참고: 개발 중에는 개발 모드를 활성화하는 것이 가장 쉽습니다. 이것 없이는 BaseLayer에 쓸 수 없습니다.